de-Domain und DynDNS

    Hallo zusammen!

    Ich bin gerade dabei im privaten Netzwerk bei mir zu Hause einen Reverse Proxy in Betrieb zu nehmen. Gerne würde ich im Heimnetz hierfür eine individuelle Domain verwenden, die ich bei Netcup geholt habe. Die Geräte sollen dann entsprechend über eine Subdomain adressierbar sein. Der ein oder andere Dienst (z.B. Fotogalarie) soll dann auch mal über das Internet erreichbar sein.
    Natürlich soll sämtliche Kommunikation auch über gültige Let's Encrypt Zertifikate erfolgen. Ferner ist es vielleicht wichtig zu wissen, dass mein Heimnetz nur über IPv6 erreichbar ist. Die IPv4-Adresse (A-Record) ist nicht über das Internet erreichbar und darf nicht gesetzt werden.

    Nun ist die Frage, wie ich die DNS-Einstellungen meiner Domain richtig konfiguriere!
    Wenn ich es richtig gelesen habe, funktioniert das Verwenden der DynDNS Funktion der Fritz!Box nicht. - Man kann mit Fritz!Box nicht die DNS-Adresse über das API setzen, wie zum Beispiel hier beschrieben: https://fritz.com/service/wiss…-in-FRITZ-Box-einrichten/
    Die Verbindung mit einem speziellen (inoffiziellen) DynDNS Client und dem CCP DNS API stelle ich mir im Docker-Netzwerk im privaten Netzwerk etwas schwer vor, da die externe IPv6-Adresse (WAN und Präfix), die sich laufend ändert, im Container-Netzwerk nicht sichtbar ist.
    Dann habe ich in einem Post gelesen, dass man den DNS-Eintrag für cname auf den DynDNS Anbieter (bei mir dann z.B. MyFRITZ!) setzen soll.
    Das habe ich versucht und sieht bei mir so aus:
    pasted-from-clipboard.png

    Aber leider klappt der Zugriff damit nicht. Ist das überhaupt so richtig?

    Was mache ich falsch bzw. was ist für mein Szenario die beste Option und was muss ich dann wo wie konfigurieren?

    Danke für eure Hilfe und viele Grüße

    Neh Coy


    P.S.
    Links, die ich in der Wiki gefunden habe, aber mir nicht weitergeholfen haben:

    Quote from Patrick0815

    Dein CNAME scheint falsch zu sein, da fehlt noch ein Punkt am Ende: …myfritz.net.

    Ansonsten wird der Eintrag als Subdomain betrachtet und der Domainname ergänzt.

    Generell würde ich dir da Recht geben. Bei netcup spielt es allerdings keine Rolle, ob da ein Punkt am Ende steht oder nicht. Es wird immer als vollwertige Domain interpretiert.

    RS Brezn | VPS 500 G8 Plus | 2× VPS Karneval 2020 | VPS Pocket Admin | RS Cyber Quack | VPS 500 ARM


    Dieses Gebäude hat mir die Vorfahrt genommen! *hup*

    Like 2
    Quote from NehCoy

    Aber leider klappt der Zugriff damit nicht. Ist das überhaupt so richtig?

    Wie sieht die Fehlermeldung denn genau aus? Hast du den DNS-Rebind-Schutz der Fritzbox berücksichtigt?

    RS Brezn | VPS 500 G8 Plus | 2× VPS Karneval 2020 | VPS Pocket Admin | RS Cyber Quack | VPS 500 ARM


    Dieses Gebäude hat mir die Vorfahrt genommen! *hup*

    Hi,


    ich bin nicht ganz sicher, ob ich zu 100% verstanden habe, was du final erreichen möchtest, daher formuliere ich mal in meinen Worten: Du möchtest einen Reverse Proxy, der wie z.B. alle *.domain.tld von extern über Port 80/443 entgegen nimmt, diesen Traffic ggf. TLS terminiert und dann nach innen weiterreicht, korrekt?


    Wenn ja, dann müsste zumindest dieser Dienst aus Fritzbox (FB) Sicht von außen erreichbar sein, ich gehe mal davon aus, du weißt, wie du das für IPv6 Verkehr in der FB einträgst?


    Es wird IMHO einfacher, wenn wir ab jetzt DNS und DynDNS thematisch entflechten, trennen: D


    Erst mal DNS: Dein gefundener Weg über CNAME auf deine extern erreichbare MyFRITZ!-Adresse ist m.A. nach der einfachste. Ich nutze das schon seit Jahren, um über die (einfacher zu merkende :)) URL fritzbox.meinedomain.tld mein FB VPN etc. erreichen zu können. Mein CNAME ist daher aber nicht "*", sondern nur "fritzbox". Wildcard würde bei mir nicht passen, da z.B. http://www.meinedomain.tld nicht Richtung FB, sondern zu meinem VPS geroutet werden soll. Ich wüsste aber nicht, warum in deinem Szenario der Wildcard nicht passen sollte. Hast du evtl. doch was ähnliches, sei es Zuhause+VPS, oder Zuhause+Webhosting, dann könntest du ja den Wildcard für den CNAME auf z.B. "*.fritzbox" setzen.


    Nächstes Thema LetsEncrypt (LE). Über welche Challenge und welchen ACME Client möchtest du dir die Zertifikate denn holen? Das Zusammenspiel RevProxy (-> INGRESS) und LE kann man sich sehr schön am Beispiel Kubernetes und cert_manager ansehen. Für einen allerersten Start würde ich das HTTP oder DNS Challenge einmalig manuell setzen, via myfritz oder direkt auf DHCPv6 Adresse / Privacy extensions oder was auch immer du von deinem ISP für deine FB dynamisch bekommst, und mit Damir damit für erste 90 Tage mit einem gültigen LE-Zertifikat Zeit zum weiteren basteln sichern :)


    Dann anschließend zum Thema DynDNS, und was ich bei deinen Fragen nicht ganz verstehe:

    - Myfritz tut ja genau das für dich, mehr brauchst du IMHO erst einmal nicht, keinen externen DynDNS Dienst. Für deine eigene Domain via CNAME, siehe oben.

    - Die mir bekannten DynDNS Dienste hatten, als ich vor Jahren da mal eingetaucht bin, alle unpassende Einschränkungen. Entweder sie boten (gratis) nur begrenzte Anzahl Subdomains, nur gegen Abo überhaupt die Möglichkeit, eine eigene Haupt Domain nutzen zu können etc. Also z.B. konkret: nehcoy.dyndns.com war möglich (sofern nehcoy noch als Subdomain frei, natürlich). DynDNS für *.nehcoy.tld wenn nur gegen Zahlung.

    - Bis auf eine Ausnahme, stand vor Urzeiten m.W. mal in einem entsprechenden c't Artikel: https://freedns.afraid.org/. Bei afraid.org kann man "gratis" eine eigene domain.tld einbringen, und bekommt die wie von dir selbst oben eingepastet über die FB verbunden und aktualisiert. "Gratis" hat aber hier eine IMHO fundamentale und für mich recht schnell inakzeptable Nebenbedingung: Möchtest DU als Eigentümer von domain.tld diese für DynDNS via afraid.org nutzen, dann darfst du das nur, wenn du zustimmst, dass ALLE ANDEREN afraid.org Nutzer das auch dürfen!! Bringst DU also domain.tld ein, weil du ja z.B. revproxyathome.domain.tld für dein Szenario nutzen willst, dann könnte ICH als anderer afraid.org Nutzer z.B. michaelof.domain.tld nutzen. Für was ich will :) Du kriegst dann zwar eine Email, wenn ich das eintrage, kannst das manuell löschen. Aber verhindern vorab nur als Sponsor. Mir ging das damals sehr auf den Sender, weil ich nicht 24/7 aufpassen will, was für dubiose Subdomain aus woher auch immer zu meinDomain.tld eingetragen wurden. Ich nutze nur doch eine Subdomain für eine allgemeine afraid.org DynDNS Domain, gibt unzählige. Klappt übrigens fehlerfrei für IPv4 und IPv6, auch wenn etwas tricky da man in FB Feld Custom Update URL zwei durch Leerzeichen getrennte URLs für IPv4 UND IPv6 eingetragen werden mussten. Ich nutze das als Fallback, was Myfritz mal nicht fkt. sollte.

    Ich verwende sowas schon lange. Ich verwende meine Domain auch noch für Netcup Webhosting, deswegen lasse ich nur meine Subdomain auf DynDNS zeigen. Z. B. sub.domain.de zeigt mit CNAME sub.dyndnsdienst.de. Dann gehts im Nginx Proxy Manager weiter. Ich lasse die Subdomain auf den bestimmten Dienst zeigen. Das SSL Zertifikat kann man entweder von einem Webhosting von Netcup nehmen und die Infos eintragen, oder direkt im Nginx Proxy Manager beantragen. Die SSL Zertifikate bei Netcup findet man im WCP unter SSL Zertifikate, dann aufs Einstellungs-Symbol, nun die Domain auswählen und dann sieht man die Daten. Man braucht .key .crt und -ca.crt Dateien für NPM, die Daten muss man einfach rauskopieren und im Editor oder ähnlichem in das Format bringen und speichern und schließlich in NPM hochladen. So hat es bei mir immer funktioniert. Bei Wildcard, also allen Subdomains, kann man bestimmt auch alle direkt aufs Heimnetz zeigen lassen.

    Hallo zusammen!

    Erst mal vielen Dank für die zahlreichen Antworten in so kurzer Zeit!


    Patrick0815 & Virinum:

    Quote

    ... da fehlt noch ein Punkt am Ende

    Vertrauen ist gut, Kontrolle besser ;) - Ich habe den Punkt am Ende der URL ergänzt. Sicher ist sicher.

    Virinum:

    Quote

    Wie sieht die Fehlermeldung denn genau aus? Hast du den DNS-Rebind-Schutz der Fritzbox berücksichtigt?

    Ich habe keine Fehlermeldung, sondern prüfe nur mit nslookup ob die gesetzen IPv6-Adressen beider Domains (Netcup-Domain und DynDNS-Dienstleister) identisch sind. Das mit dem Rebind-ist ebenfalls eine guter Hinweis, an den ich schon fast nicht mehr gedacht habe. Aktuell teste ich aber den Zugriff bewusst mit meinem Smartphone und mobilen Internetzugang, um solche Effekte zu vermeiden.


    MichaelOF:

    Quote

    Du möchtest einen Reverse Proxy, der wie z.B. alle *.domain.tld von extern über Port 80/443 entgegen nimmt, diesen Traffic ggf. TLS terminiert und dann nach innen weiterreicht, korrekt?

    Ja, genau das habe ich vor! ;)

    Quote

    Ich wüsste aber nicht, warum in deinem Szenario der Wildcard nicht passen sollte.

    Dank für den Hinweis. Dann lasse ich es erstmal bei * und kann später ja die Subdomains einzeln eintragen


    Quote

    Über welche Challenge und welchen ACME Client möchtest du dir die Zertifikate denn holen?

    Ich verwende NPM (Nginx Proxy Manager) und wollte dir Let's Encrypt Zertifikate über die bereitgestellte Funktion abrufen (wenn möglich ohne DNS Challenge):pasted-from-clipboard.png


    Quote

    Myfritz tut ja genau das für dich, mehr brauchst du IMHO erst einmal nicht, keinen externen DynDNS Dienst. Für deine eigene Domain via CNAME, siehe oben.

    Den (kostenpflichtigen) DynDNS dienst habe ich schon eine Weile, aber wenn das mit dem cname und MyFRITZ! funktioniert, werde ich das mir das sparen.
    ich wollte eben nicht so eine komplizierte URL von MyFRITZ! haben, die ich mir nicht merken kann ;)

    Quote

    Schaut mal z.B. hier https://toolbox.googleapps.com/apps/dig/#CNAME/, speziell den RAW Mode


    Hmm ... Hier ist mein cname (noch) nicht gesetzt ... =O

    pasted-from-clipboard.png

    mart01:

    Klingt ja gut, nur habe ich von NetCup kein Webhosting, sondern nur die Domain gekauft. ;)


    Danke & Grüße

    Neh Coy

    Der Sync der DNS-Einstellungen ist wohl durch. Mit dem Ergebnis, dass keine IP(v6)-Adresse für meine aufgelöst Domain aufgelöst werden kann. =O
    Irgendetwas stimmt also mit den cname Einstellungen (noch) nicht...

    Quote from NehCoy

    Der Sync der DNS-Einstellungen ist wohl durch. Mit dem Ergebnis, dass keine IP(v6)-Adresse für meine aufgelöst Domain aufgelöst werden kann. =O
    Irgendetwas stimmt also mit den cname Einstellungen (noch) nicht...

    Wie meinst du das genau, bzw. wie hast du das verifiziert?

    CNAME hat ja zunächst nichts mit einer IPv4 oder IPv6 zu tun.


    Löst denn deine myfritz-Adresse nach v4 und v6 auf?

    Guten Morgen!

    Zunächst habe ich die DNS Einträge über den Google-Service geprüft (siehe oben). Und bei einem nslookup konnte keine IP-Adresse aufgelöst werden.


    Gestern Abend habe ich noch u.a. ein cname-Eintrag für die Subdomain vserver vergenommen. - Und noch zwei mehr ;)
    Das sieht dann jetzt in den DNS-Einstellungen wie folgt aus:
    pasted-from-clipboard.png


    Heute morgen habe ich die DNS Eintragungen dann erneut geprüft. Sie da: Für die Subdomain vserver ist der cname eintrag vorhanden.

    pasted-from-clipboard.png



    und ich kann auch eine IP-Adresse auflösen.
    pasted-from-clipboard.png


    Die anderen Subdomains sieht es genau so erfolgreich aus.

    Soweit, so gut! - Aber nun kommen ZWEI ABER!

    1. Die Verwendung der Wildcard "*", um alles was an meine Domain angeht über den cname aufgelöst wird, scheint nicht zu funktionieren.
      Der nslookup findet nichts und die Prüfung des DNS Eintrag (über google) sie aus wie oben.
      pasted-from-clipboard.png

      Wünschenswert wäre aber, dass alles weitergeleitet wird...
    2. Ich kann die Webseite über den Reverse Proxy (noch) nicht aufrufen.

    Grüße
    Neh Coy

    Quote from NehCoy

    pasted-from-clipboard.png

    Überprüfst du hier die Domain selber? Also keine Subdomain? Denn dort greift die Wildcard nicht. Für die Domain selber kannst du auch keinen CNAME-Eintrag setzen. Dafür müsstest du einen anderen Nameserver-Betreiber verwenden, der sowas wie "CNAME flattening" beherrscht.

    RS Brezn | VPS 500 G8 Plus | 2× VPS Karneval 2020 | VPS Pocket Admin | RS Cyber Quack | VPS 500 ARM


    Dieses Gebäude hat mir die Vorfahrt genommen! *hup*

    Like 1

    Wenn ich es noch recht in Erinnerung hab, löst die asd123.myfritz.net bei IP6 nur zum Fritzbox Webinterface auf.


    Wenn du ein https Dienst im Heimnetz über asd123.myfritz.net erreichen willst musst du eine MyFRITZ!-Freigabe erstellen.


    Dabei wird dann eine neue myfritz Adresse generiert z.b. vm.asd123.myfritz.net mit der kannst dann versuchen den CNAME auf deine sub.domain.de zu setzen.


    Hab's nur so selbst noch nicht getestet.


    pasted-from-clipboard.png

    Virinum:
    Ah!- Okay! Das erklärt so einiges. Und dem ist es wohl auch so, denn jede beliebige Subdomain wird nämlich jetzt mit dem cname aufgelöst:
    pasted-from-clipboard.png

    Und ja: ich hatte da nur die Domain selbst geprüft.
    "CNAME flattening" ... das muss ich jetzt erstmal googeln ...


    bekenz:
    Deine Aussage ist ebenfalls korrekt und so verwende ich auch die MyFRITZ!-Adressen.
    in dem Screenshot von mir ist zu erkennen, dass die Subdomain fritzbox den cname <myfritzid>.myfritz.net hat, wohingegen die anderen Subdomains den cname vserver.<myfritzid>.myfritz.net verwenden ;)